I dati sanitari non sono dati come gli altri, e il GDPR lo dice esplicitamente. Cambia il livello di protezione richiesto e cambia il costo di sbagliare.
Ambulatori, poliambulatori, studi odontoiatrici, centri diagnostici e strutture sanitarie private trattano quello che il Regolamento europeo chiama categorie particolari di dati: informazioni sulla salute delle persone. Per quelle il trattamento è vietato salvo eccezioni specifiche, e le misure richieste sono più stringenti che altrove.
Nella pratica quotidiana significa tre cose: che gli accessi vanno controllati in modo molto più fine, che la documentazione clinica ha obblighi di conservazione lunghi, e che una violazione qui pesa più che in qualunque altro settore.
In una struttura sanitaria il problema principale non è tenere fuori gli estranei: è che dentro ci sono molte persone con ruoli diversi. Medici, infermieri, personale di segreteria, amministrazione, collaboratori esterni a partita IVA che passano un giorno a settimana. Non tutti devono poter vedere tutto, e la differenza va sostenuta con i permessi, non con la fiducia.
Il secondo pezzo è la tracciabilità. In caso di contestazione, o di controllo, serve poter dire chi ha aperto quale posizione e quando. È un requisito che si soddisfa solo se il sistema è stato impostato per farlo dall'inizio.
L'accesso che troviamo più spesso ancora attivo è quello di un collaboratore che ha smesso di lavorare con la struttura mesi prima. Non per negligenza: perché nessuno aveva una procedura per chiuderlo.
La documentazione clinica ha obblighi di conservazione previsti dalla normativa di settore, e per alcune tipologie i termini sono molto lunghi. Il punto pratico non è tanto conservare, che oggi costa poco: è essere in grado di ritrovare e ripristinare a distanza di anni, con i formati e i sistemi che nel frattempo saranno cambiati.
Chi produce immagini diagnostiche ha in più un problema di volumi: gli archivi crescono in fretta e i backup vanno dimensionati di conseguenza, altrimenti si scopre al momento sbagliato che la copia notturna non chiude mai.
Sui termini esatti e sulle tipologie soggette a conservazione la verifica va fatta con il consulente della struttura: le regole variano per tipo di documento e sono materia specialistica.
Permessi costruiti sui ruoli reali della struttura, con tracciamento di chi consulta cosa.
Copie dimensionate sui volumi veri, comprese le immagini diagnostiche, con prove di ripristino documentate.
Diagnostica e apparecchi collegati girano spesso su sistemi che il costruttore non aggiorna. Non si possono toccare, si possono isolare.
Se il sistema non risponde, l'agenda salta e i pazienti sono già in sala d'attesa.
Dipende, e la valutazione va fatta caso per caso con un consulente. Il Regolamento lo richiede quando l'attività principale consiste in trattamenti su larga scala di categorie particolari di dati, e la salute è una di queste. Il punto controverso è cosa significhi larga scala per una struttura piccola.
Quello che vale in ogni caso: la valutazione va fatta e messa per iscritto, anche quando l'esito è che il DPO non serve. Un'assenza motivata regge a un controllo, un'assenza mai valutata no.
Si accetta che restino come sono e si cambia il contesto in cui vivono: rete separata, solo le comunicazioni necessarie, nessun accesso diretto a internet, accessi dei tecnici del produttore attivati su richiesta invece che permanenti.
È l'approccio standard per i sistemi non aggiornabili e funziona, a condizione che sia progettato una volta e non improvvisato aggiungendo regole al firewall negli anni.
Quando sono coinvolti dati sanitari la soglia per dover informare le persone interessate si abbassa, perché il rischio per i loro diritti è considerato più alto. I termini per la notifica sono stretti e la decisione va presa con informazioni incomplete.
Per questo la parte che conta si prepara prima: chi valuta la gravità, chi decide, chi scrive, e come si ricostruisce cosa è successo. Abbiamo pubblicato il modello che usiamo come piano di risposta agli incidenti, ed è scaricabile gratuitamente anche senza di noi.
Siete a posto su una parte, e vale la pena sapere quale. Il fornitore cloud risponde della sua piattaforma; voi restate titolari del trattamento e rispondete di come la usate: chi ha le credenziali, con quali permessi, cosa succede sulle postazioni da cui si accede, e cosa avete firmato con lui.
Le violazioni che vediamo più spesso su sistemi in cloud non nascono dalla piattaforma: nascono da una credenziale sottratta a un utente e da un secondo fattore che non era stato attivato.
L'assessment gratuito parte da qui. Veniamo in struttura, guardiamo come sono impostati accessi, backup e apparecchiature, e vi lasciamo un report scritto.